Антон Теремшонок

Могу предположить что так:

iptables -t nat -A POSTROUTING -o tap_virt -j MASQUERADE
iptables -t nat -A PREROUTING -p tcp --dport 3389 -j DNAT --to 10.10.10.10:3389

Первое правило не обязательно, если у вас и так уже маскарадится трафик.

Предлагаю настроить какой-нибудь VPN, настроить разрешение forward трафика, потом выполнить:

iptables -t nat -A PREROUTING -p tcp --dport 55170 -j DNAT --to 10.10.14.5:55170

где dport 55170 это внешний порт на сервере
10.10.14.5:55170 - 10.10.14.5 внутренний адрес клиента (VPN адрес, который получает клиент), 55170 - порт, на который надо пробросить

Надеюсь что понятно объяснил.